IT業界資訊媒體

【同枱食飯?不了】無聲指令 哄騙語音助手洩私隱

唔少人去餐廳或 cafe 嗰陣,都習慣將手機放喺枱面,方便隨時檢查下有無短訊或接聽來電。而為咗私隱問題,通常都會將屏幕朝下,咁就唔怕其他人(特別係另一半)睇到自己同邊個傳緊短訊,甚至係訊息內容啦!不過,有網絡安全專家指出如果手機啟動咗語音助手功能,放喺枱面呢個行為已足夠俾有心人奪取你部手機嘅控制權,暗中讀取你嘅私隱,最驚係可以用你部電話打俾其他人傾偈,而你係完全唔會發現㗎!

發現呢個漏洞嘅研究員,係來自華盛頓大學電腦科學及工程嘅 Ning Zhang,佢稱為 Surfing Attack 所利用嘅方法,其實只係人耳聽唔到,但手機收音咪就接收到嘅高頻音效,於是就可以暗中向手機嘅語音助手發出指令,例如讀取剛收到內有雙重因素認證(2FA)碼嘅訊息、甚至係用你部手機打電話同人傾偈添。研究員試用過市面上 17 部智能電話,包括 iOS 陣營嘅 iPhone,以及 Android  陣營嘅 Samsung Galaxy 等等,佢話只要將手機放喺枱面,無論將枱用金屬、玻璃、木作為材料,甚至喺 30呎外,都一樣可以通過枱作為媒介,將高頻音效傳送過去,而且正面或反面咁擺,都完全無問題,不過屏幕朝下就更難察覺手機運作緊咁解。

Ning Zhang 亦拍咗片示範成個攻擊流程,首先佢會發出「無聲」語音指令,將手機音效調低,令機主唔為意手機喺度發出各種運作音效。之後,佢就命令語音助手讀出手機剛收到嘅 2FA 碼,並用收音器遙距接收返手機發出嘅音效。即係如果黑客已預先知道你登入銀行服務嘅名同密碼,就可以用呢招嚟偷埋你個 2FA 登入碼添。更得人驚嘅係,黑客仲可以用你部手機打俾 phonebook 上任何一個聯絡人,當住你面暗中同你朋友傾電話,如果把聲模倣得似模似樣,相信要氹你同事講出公司帳戶嘅登入碼,又或叫朋友過數或買點數卡,都唔會太難喇。

要避免被黑客利用高頻音效漏洞,Ning Zhang 話可以由兩方面入手,首先係手機生產商可以加入分析系統,區分高頻音效同真人發聲嘅分別,或改變收音咪擺位。而個人用戶方面,最好就唔好將手機擺喺枱面,就算要擺,都要放喺有吸音、減震功能嘅枱布上面呀!

資料來源:https://bit.ly/2TjOfHu

相關文章:【Demo180】物理斷網都 Hack 到!高手示範 Air-Gap Hacking

 

Privacy Preference Center